Allarme in Italia: 285mila siti web vulnerabili, chiunque può prenderne il controllo

Oltre 285.000 siti web italiani sono esposti a gravi rischi informatici a causa di due vulnerabilità critiche nel software PHP, che potrebbero consentire l’accesso ai sistemi senza bisogno di credenziali, il furto di dati, la modifica dei contenuti o l’interruzione dei servizi. Tra i potenziali attori che possono sfruttare queste falle figurano gruppi di hacker e collettivi cyber con legami a stati, inclusa la Russia.

Agenzia per la cybersicurezza nazionale ha pubblicato due bollettini distinti in un arco di tre giorni per segnalare la criticità della situazione, un evento che l’istituzione stessa ha definito senza precedenti. Gli aggiornamenti che correggono le vulnerabilità sono disponibili, ma la maggior parte dei siti non risulta ancora protetta.

Il problema riguarda PHP, un linguaggio e runtime ampiamente impiegato nel funzionamento dei siti web: gestisce moduli, carrelli degli acquisti, aree riservate di enti locali e aziende, e molte funzionalità delle piattaforme digitali pubbliche e private. Due difetti valutati con un punteggio di pericolosità di 9,2 su 10 permettono a un attaccante di eseguire comandi da remoto sul server che ospita il sito.

Agenzia per la cybersicurezza nazionale ha dichiarato:

“Sono stati osservati recenti tentativi di sfruttamento di queste vulnerabilità.”

Secondo i dati aggiornati al 25 ottobre, in Italia sono stati rilevati 741.523 siti web che utilizzano PHP. Di questi è stato possibile verificare la versione del software per 348.130 siti: 285.149 risultano ancora con versioni vulnerabili, pari all’81,9% dei siti controllati, mentre appena 62.981 sono stati aggiornati.

Perché la falla è pericolosa

Le vulnerabilità consentono l’esecuzione di codice da remoto (RCE) e possono essere sfruttate senza autenticazione: ciò significa che un aggressore può impartire comandi al server, installare strumenti malevoli, estrarre basi dati degli utenti o alterare pagine e contenuti. La diffusione di proof-of-concept e script di sfruttamento rende la situazione particolarmente urgente, perché facilita l’azione di operatori meno esperti.

Impatto su pubblica amministrazione e imprese

Le conseguenze pratiche per enti locali, strutture sanitarie, scuole e imprese possono essere significative: interruzioni di servizio, perdita di dati personali o commerciali e danni reputazionali. Per le imprese di commercio elettronico i rischi si traducono anche in perdita di fatturato e clienti. Sul piano normativo, un incidente che comporti perdita o esposizione di dati personali può configurare una violazione del GDPR con obblighi di notifica e possibili sanzioni.

Misure raccomandate e mitigazioni

La prima e più immediata contromisura è l’applicazione degli aggiornamenti ufficiali di PHP forniti dai manutentori del software. In parallelo, è consigliabile adottare misure difensive complementari: isolare i sistemi critici, applicare regole restrittive di firewall e web application firewall (WAF), verificare i log per attività sospette, ripristinare backup verificati e monitorare indicatori di compromissione.

Per ridurre l’impatto operativo è opportuno pianificare patching centralizzato e test pre-deployment su ambienti non produttivi, coinvolgere fornitori di servizi gestiti per scansioni e remediation, e predisporre procedure di incident response con responsabilità chiare per amministrazioni e imprese.

Contesto istituzionale e cooperazione

Agenzia per la cybersicurezza nazionale svolge funzioni di monitoraggio e allerta per la protezione delle reti e dei servizi essenziali; il suo ruolo include la diffusione di bollettini tecnici, la condivisione di indicatori di compromissione e il coordinamento con le amministrazioni centrali e locali. La gestione di questa emergenza richiede cooperazione tra pubblica amministrazione, operatori privati e fornitori di infrastrutture per ridurre la finestra di esposizione.

Per il mercato IT e i fornitori di servizi cloud la situazione apre opportunità e responsabilità: si accentua la domanda di servizi di patch management, monitoraggio continuo e consulenza specialistica, mentre cresce la pressione regolatoria per garantire livelli minimi di sicurezza nelle forniture digitali verso la PA e le PMI.

Come verificare la propria esposizione

Le organizzazioni possono iniziare con una scansione delle versioni di PHP in uso sui propri server e su quelli dei fornitori esterni. È fondamentale aggiornare i sistemi non appena possibile, eseguire controlli di integrità dei file, analizzare i log per accessi anomali e testare i backup. In caso di sospetto compromesso, è prudente attivare il piano di risposta agli incidenti e informare i titolari di trattamento dei dati, se necessario.

Prospettive per il futuro

La diffusione di vulnerabilità critiche in componenti fondamentali dell’ecosistema web sottolinea la necessità di politiche di sicurezza proattive e di investimenti continui in resilienza digitale. Per le imprese italiane ciò significa integrare la sicurezza nel ciclo di vita del software, favorire aggiornamenti tempestivi e valutare la responsabilità contrattuale dei fornitori tecnologici.

In sintesi

• La diffusione massiccia di siti con versioni vulnerabili di PHP aumenta la probabilità di attacchi mirati; per gli investitori nel settore tecnologico ciò evidenzia una domanda crescente di soluzioni di patch management e sicurezza gestita.
• Un’ondata di compromissioni potrebbe generare costi diretti per le imprese (ripristino, sanzioni, perdita di ricavi) e impatti sul valore reputazionale delle aziende italiane che erogano servizi digitali.
• Per il mercato dei servizi IT si apre un’opportunità commerciale: fornitori affidabili di sicurezza e cloud possono consolidare la propria posizione offrendo garanzie di conformità e resilienza, mentre gli investimenti nelle capacità interne di cybersecurity diventano un fattore competitivo.
• I decisori pubblici dovrebbero considerare incentivi e regolazioni che favoriscano aggiornamenti tempestivi e pratiche di cyber hygiene nelle PMI, riducendo il rischio sistemico per l’economia nazionale.